Il DNS cifrato è traffico DNS trasportato all'interno di un trasporto protetto come DNS over HTTPS (DoH) o DNS over TLS (DoT). Invece di inviare le richieste di risoluzione dei domini in testo in chiaro, il client e il resolver cifrano la richiesta così che le terze parti sulla rete siano meno in grado di leggerla, intercettarla o modificarla.
Questo è importante perché il DNS è un punto di controllo di grande valore. Il DNS cifrato aiuta a proteggere la privacy e può rendere più difficile lo spoofing del DNS, il dirottamento o la semplice osservazione su Wi-Fi ostili, collegamenti ISP o reti condivise. Anche i difensori lo usano per preservare l'integrità tra client e resolver fidati. Ma può complicare le policy di sicurezza: un router o un firewall che si aspetta di filtrare il DNS potrebbe non vedere quelle richieste se un dispositivo usa un proprio percorso di resolver cifrato. Gli aggressori possono anche abusare del DNS cifrato per nascondere le richieste di command-and-control dal monitoraggio di rete, quindi le organizzazioni spesso lo affiancano a controlli sugli endpoint e alle policy del resolver.